Certification et conformité selon l’IEC 62443

Portée du certificat

Pour comprendre un certificat, examinez le programme de certification, la partie et l’édition de la norme, le produit ou le processus évalué et les limites indiquées. La version du programme, la version du produit ou du système, le niveau de capacité ou de maturité, le titulaire du certificat et l’organisme émetteur précisent également ce qui a été évalué.

• périmètre de processus pour le développement sécurisé ou les capacités d’un prestataire de services ;
• périmètre de composant pour les applications logicielles, dispositifs embarqués, dispositifs hôtes ou dispositifs réseau ;
• périmètre système pour un produit de système de commande, une architecture de référence et des zones de sécurité ;
• périmètre d’un IACS en exploitation pour l’évaluation d’un propriétaire d’actifs ou l’évaluation d’un site ;
• périmètre juridique au titre du CRA, qui dépend du règlement et des normes harmonisées citées au Journal officiel, des spécifications communes ou des systèmes de certification de cybersécurité de l’UE admissibles.

Limites du programme ISASecure

ISASecure est un programme de certification détenu par l’ISA pour les revendications relatives à l’automatisation et aux systèmes de commande associées à l’IEC 62443. Ses pages publiques distinguent les revendications concernant les produits, les systèmes, les processus de développement et l’évaluation des IACS.

Limites des certificats IECEE

Le rapport d’activité de l’IEC de juillet 2019 à juin 2020, section 9.3.1, décrit la certification IECEE de cybersécurité industrielle comme une voie d’essai et de certification de la cybersécurité dans le secteur de l’automatisation industrielle. Il distingue l’évaluation des capacités de sécurité d’un demandeur de l’évaluation de leur application à un produit précis, à une solution d’automatisation ou à un IACS. La base de données publique de l’IECEE peut aider à localiser un certificat. Le certificat et son rapport précisent ce qui a été évalué ; la seule référence à l’IEC 62443 ne permet pas de savoir si l’évaluation portait sur un produit, un système ou un processus.

La présomption du CRA est un mécanisme juridique

La présomption de conformité au CRA dépend du règlement (UE) 2024/2847. Un produit comportant des éléments numériques ou un processus du fabricant ne peut bénéficier d’une présomption que pour les exigences essentielles de cybersécurité couvertes par une norme harmonisée applicable dont la référence a été publiée au Journal officiel, ou par un autre mécanisme du CRA tel que les spécifications communes ou un système européen de certification de cybersécurité admissible.

Il s’agit d’un mécanisme juridique différent de l’utilisation courante de l’IEC 62443, de la certification ISASecure ou d’un certificat IECEE. Les documents du webinaire CEN-CENELEC du 9 septembre 2025 décrivent les travaux visant à adapter des éléments de l’EN IEC 62443 en normes harmonisées adaptées au CRA, notamment les travaux A11 concernant les normes EN IEC 62443-4-1:2018 et EN IEC 62443-4-2:2019. Sur cette voie fondée sur les normes harmonisées, tant que la référence pertinente n’a pas été publiée et que le produit ne relève pas de son champ d’application, les preuves IEC 62443 existantes constituent des éléments à l’appui, mais ne confèrent pas à elles seules une présomption au titre du CRA.

Interpréter les certificats sans exagérer leur portée

Un certificat étaye les conclusions relatives aux travaux effectivement évalués. Son application à un autre rôle, une autre version de produit, un autre déploiement ou une autre exigence juridique nécessite une justification distincte de la pertinence persistante des preuves.

• Ne considérez pas la SDLA comme une preuve qu’un composant donné satisfait aux exigences techniques de l’IEC 62443-4-2.
• Ne considérez pas la CSA comme une preuve que les zones, conduits, niveaux SL-T ou procédures opérationnelles d’un système déployé sont appropriés.
• Ne considérez pas la SSA comme une preuve que le programme de sécurité de l’IACS en exploitation du propriétaire d’actifs satisfait à l’IEC 62443-2-1.
• Ne considérez pas un certificat de prestataire de services selon la partie 2-4 comme une preuve que le produit fourni par ce prestataire possède un niveau de capacité de composant.
• Ne considérez pas un certificat IEC 62443 comme une présomption au titre du CRA sans préciser le mécanisme applicable de l’article 27, les exigences de l’annexe I couvertes et le périmètre du produit ou du processus. La voie des normes harmonisées exige également la publication de la référence de la norme au Journal officiel ; les spécifications communes et la certification européenne de cybersécurité obéissent à leurs propres conditions prévues à l’article 27.